面向不平衡多类网络入侵检测的层次约束专家提升方法

《Scientific Reports》：HCE-Boost: hierarchy-constrained expert boosting for imbalanced multiclass intrusion detection

　　

摘要

不平衡多类网络入侵检测面临三个耦合挑战：主导类别可以吸收结构相似的稀有攻击，全局重加权无法针对由此产生的类别特异性混淆进行靶向，而缺乏约束的专家模型可能会扭曲与无关攻击家族相关的证据。我们提出了层次约束专家提升方法（HCE-Boost），这是一种全监督集成方法，通过三个协调模块来解决这些挑战。首先，一种泄漏控制协议在任何转换或模型选择之前固定训练、验证和测试的角色。其次，等权的XGBoost和LightGBM专家估计全局类分布，而验证错误仅针对满足固定标准的一个语义家族或稀有吸收组激活局部专家。第三，一种概率质量守恒的输出规则允许专家在组内修订比例而不增加分配给该组的总概率。在固定的、类别完整的评估中，使用五个匹配的随机种子，HCE-Boost在NSL-KDD、提供的CIC-IDS2017子集和Edge-IIoTset上分别达到了64.99%、93.73%和92.39%的平均宏平均F1分数（macro-F1）。这些值是在相同协议下评估的八种方法中最高的，并超过了相应的最强基线2.20、0.71和0.28个百分点。组件分析显示，在NSL-KDD上专家具有持续益处，在CIC-IDS2017上平均益处不明确，在Edge-IIoTset上没有专家激活。结果支持验证治理的层次修正作为在评估的固定分割设置中改进少数敏感分类的方法。它们并未确立操作边缘部署，这需要模型压缩以及硬件级延迟、内存、吞吐量和功耗测量。